Varios grupos de ransomware han aprovechado una falla de seguridad recientemente corregida que afecta a los hipervisores VMware ESXi. Esta vulnerabilidad permite obtener permisos elevados y implementar malware, incluido el ransomware.
Explotación de CVE-2024-37085
Los ataques se basan en la explotación de CVE-2024-37085, una omisión de autenticación que permite a un atacante obtener acceso administrativo al host. VMware señaló que un actor malintencionado con suficientes permisos de Active Directory (AD) puede obtener acceso total a un host ESXi al volver a crear un grupo de AD llamado «ESXi Admins» después de que se haya eliminado de AD.
Los hipervisores ESXi consideran que cualquier miembro de un grupo de dominio llamado «ESXi Admins» tiene acceso administrativo completo, incluso si el grupo no existía originalmente. Los hipervisores no validan la existencia del grupo al unirse a un dominio.
Ataques y grupos involucrados
Microsoft observó que operadores de ransomware como Storm-0506, Storm-1175, Octo Tempest y Manatee Tempest aprovechan esta técnica para implementar Akira y Black Basta. En un ataque contra una empresa de ingeniería en América del Norte, el actor utilizó la vulnerabilidad después de obtener un punto de apoyo inicial mediante QakBot y explotando otra falla (CVE-2023-28252) para escalar privilegios.
Posteriormente, se implementaron herramientas como Cobalt Strike y Pypykatz para robar credenciales de administrador de dominio. Se logró la persistencia mediante SystemBC y el abuso del acceso de administrador de ESXi para instalar Black Basta.
Secuencia de ataque
El ataque incluye el uso de RDP y SMB para el movimiento lateral, así como la eliminación del implante SystemBC. El actor intentó forzar conexiones RDP a múltiples dispositivos y manipular Microsoft Defender Antivirus utilizando herramientas diversas.
Vulnerabilidades en hipervisores
El desarrollo se produce después de que Mandiant revelara que el grupo UNC4393 utiliza una puerta trasera C/C++ llamada ZLoader para distribuir Black Basta. ZLoader reapareció después de una larga pausa y ha estado en desarrollo activo, con nuevas variantes propagándose a través de PowerDash.
Los actores de ransomware han demostrado un interés por aprovechar técnicas recientes para maximizar el impacto y evadir la detección. Se han observado ataques que utilizan fallas recientemente reveladas en servidores que dan a Internet, incluyendo debilidades en Fortinet y Veeam Backup & Replication.
Malware asociado
El ransomware Qilin (también conocido como Agenda) se ha desarrollado utilizando Rust, lo que indica un cambio hacia lenguajes seguros para la memoria. Se ha descubierto que los ataques recientes aprovechan debilidades en el software Fortinet y Veeam Backup & Replication.
Qilin es capaz de autopropagarse a través de una red local y está equipado para realizar la autodistribución mediante VMware vCenter. Otro malware notable empleado es Killer Ultra, diseñado para deshabilitar software EDR y borrar registros de eventos de Windows.
Se recomienda a las organizaciones instalar las últimas actualizaciones de software, practicar la higiene de credenciales, aplicar la autenticación de dos factores y tomar medidas para proteger los activos críticos mediante procedimientos de monitoreo adecuados y planes de respaldo y recuperación.